Datenschutzverstoß: Freistaat Sachsen muss seine Facebook-Seite abschalten

Die sächsische Staatskanzlei muss spätestens in vier Wochen die von ihr betriebene "offizielle Seite" des Freistaates auf Facebook abschalten. Dies hat die Datenschutzbeauftragte des Bundeslands, Juliane Hundert, in einem am Freitag bekanntgemachten Bescheid angeordnet. Sie beklagt darin unter anderem Verletzungen der Datenschutz-Grundverordnung (DSGVO). Die Kontrolleurin verwarnt die Staatskanzlei zugleich, da sie "fahrlässig gegen ihre Rechenschaftspflicht" nach dem EU-Normenwerk verstoßen habe.

Der Facebook-Auftritt sei mindestens von 2018 an bis heute "entgegen der der gebotenen Sorgfalt" betrieben worden, führt Hundert aus. Die Grundsätze für die Verarbeitung personenbezogener Daten nach der DSGVO könne die Staatskanzlei nicht nachweisen. Diese habe jahrelang über die Fanpage Daten an die Meta-Tochter in die USA übermittelt, "obwohl hierfür keine wirksame Rechtsgrundlage gegeben ist".

Gemeinsame Verantwortlichkeit mit Meta-Konzern

Hintergrund der Entscheidung sind unter anderem mehrere Urteile des Europäischen Gerichtshofs (EuGH). So stellten die Luxemburger Richter etwa schon vor Jahren fest, dass bei der Verarbeitung der personenbezogenen Daten durch den Einsatz einer Facebook-Seite eine gemeinsame Verantwortlichkeit mit dem Meta-Konzern besteht. Danach sei die Staatskanzlei verpflichtet, die Einhaltung der Grundsätze des Datenschutzrechts nachzuweisen. Das könne sie aktuell aber nicht. Denn mit dem "Schrems-II-Urteil" erklärte der EuGH im Sommer 2020 auch den transatlantischen "Privacy Shield" und damit eine der wichtigsten Grundlagen für den Transfer von Kundendaten in die USA für ungültig.

Die Datenschutzaufsicht moniert zudem, dass die Staatskanzlei mit der Facebook-Seite gegen das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) verstößt. Ohne ausreichende Rechtsgrundlage würden Cookies auf den Geräten der Nutzer gesetzt und darüber personenbezogene Daten erhoben, an Facebook übermittelt und zu "hochangereicherten personenbezogenen Werbeprofilen" verdichtet.

"Die beabsichtigte Maßnahme dient dem legitimen Zweck der Herstellung eines datenschutzkonformen Zustandes", betont Hundert in dem am Mittwoch versandten Beschluss. Es dränge sich kein milderes Mittel auf, mit dem dieser ebenso wirksam erreicht werden könnte. Ferner sei nicht ersichtlich, "dass zwischen diesem Ziel, dem Mittel und den möglichen Folgen ein offensichtliches Missverhältnis bestünde". Dem stehe auch nicht entgegen, dass die Staatskanzlei eine Informationspflicht gegenüber der Öffentlichkeit habe. Denn dieser dürfe sie "nur auf rechtmäßige Weise auf rechtskonformen Plattformen" nachkommen. Facebook sei dabei nur ein Kanal von vielen. Es stünden "noch genügend weitere – rechtmäßige – Informationsmedien zur Verfügung", etwa die eigene Homepage.

Die Staatskanzlei "hat als Oberste Landesbehörde des Freistaates und Amtssitz des Sächsischen Ministerpräsidenten eine Vorbildfunktion inne", hebt die Kontrolleurin weiter hervor. Das bedeute, dass sie bei ihrem Handeln an Recht und Gesetz gebunden sei und deshalb besonders auf die Rechtmäßigkeit ihrer Datenverarbeitungen achten müsse. Hundert bezeichnete das Verfahren zugleich als exemplarisch. Auch andere öffentliche Stellen Sachsens nutzten das soziale Netzwerk. Sie sollten sich hier aber nicht hinter der Staatskanzlei verstecken, sondern "aktiv und umgehend die datenschutzwidrige Nutzung ihrer Facebook-Fanpages beenden".

Musterverfahren für Klarheit bei Fanpages

Der Streit zieht sich bereits einige Zeit hin und es erfolgten in diesem Rahmen mehrere Gespräche zwischen beiden Seiten, die aber zu keiner Annäherung führten. Die Staatskanzlei kündigte am Freitag an, die Entscheidung sorgfältig prüfen und sich "intensiv mit der Begründung auseinandersetzen" zu wollen. Ein Regierungssprecher verwies zugleich darauf, dass das Bundespresseamt im März Klage vor dem Verwaltungsgericht Köln gegen die Anweisung des Bundesdatenschutzbeauftragten Ulrich Kelber erhoben habe, den Betrieb von Facebook-Seiten des Bundes einzustellen. Dieser Fall werde "als ein Musterverfahren angesehen, um Klarheit für den Betrieb von Fanpages zu bekommen". Hundert kann in dieser Auseinandersetzung aber kein Musterverfahren erkennen. Ein Kölner Urteil würde sich auch nicht direkt auf Sachsen auswirken.

Die Staatskanzlei kann innerhalb eines Monats Klage gegen die Untersagungsverfügung der Datenschutzbeauftragten beim Verwaltungsgericht Dresden erheben. Dies würde eine aufschiebende Wirkung entfalten und es der sächsischen Regierung ermöglichen, bis zum rechtskräftigen Ausgang des Verfahrens Fanpages weiter zu betreiben. Hinter dem Vorgehen der Datenschutzbeauftragten von Bund und Ländern stehen laut der Staatskanzlei "komplexe Sach- und Rechtsfragen zum europäischen Datenschutzrecht, die nicht nur für die Behörden, sondern auch für alle anderen öffentlichen Einrichtungen und auch für die Wirtschaft von grundsätzlicher Bedeutung sind".

(mack)